2021년 서울대병원 개인정보 유출 사건 수사 결과
내부망 장악 때 사용한 계정에 북한 어휘 사용
조직검사 등 병리검사 저장된 서버가 주 타깃

2021년 서울대병원에서 발생한 83만건의 개인정보 유출 사건은 북한 해킹조직의 소행으로 드러났다. 악성코드 감염으로 바깥으로 새 나간 정보는 조직검사와 같은 병리 검사 결과, 진단명, 환자 이름 등 모두 81만건에 달한다. 경찰은 이들이 주요 인사에 대한 진료 정보를 노리고 해킹을 저지른 것으로 봤다.

경찰청 국가수사본부는 2021년 발생한 서울대학교병원 개인정보 유출사건 수사 결과를 10일 발표했다.

경찰청 관계자는 “공격 근원지의 IP주소, IP주소 세탁 기법, 시스템 침입·관리 수법, 내부망 장악 시 사용한 계정 비밀번호에 북한 어휘가 사용된 점 등을 종합적으로 판단해 북한 해킹조직의 소행으로 판단했다”며 “‘김수키’와 연관이 있는 것으로 추정된다”고 밝혔다. 김수키는 라자루스, 블루노로프, 안다리엘 등과 함께 북한 정찰총국 내 있는 여러 개의 해킹조직 중 하나다.

이들은 서울대병원 내부망을 장악할 때 사용했던 계정의 비밀번호에 ‘다치지 말라’(건들지 말라는 의미)는 북한 어휘를 사용하기도 했다. 경찰청 관계자는 “암호화돼 있는 비밀번호를 풀어보니 이런 단어를 사용한 것”이라며 “그동안 남한 쪽 여러 기관을 해킹하는 과정에서 압수되거나 공격이 막힌 것에 대한 메시지로 보인다”고 설명했다.

이들은 2021년 5~6월 국내외에 소재한 서버 7곳을 장악해 서울대병원을 해킹하기 위한 기반을 마련한 것으로 조사됐다. 서울대병원 내부망에 침투하기 위해 여러 서버를 살피던 이들은 게시판 글쓰기 기능에서 사진과 파일을 업로드할 때 악성코드를 심을 수 있다는 취약점을 발견했다. 이후 이들은 서울대병원 내부망에 침투해 각종 개인정보를 빼냈다.

경찰은 이들이 환자 81만여명, 전현직 직원 1만 7000명 등 모두 83만명의 개인정보를 빼낸 것으로 판단했다. 경찰은 “전현직 직원 1만 7000명의 정보는 실제로 유출된 것을 확인했고, 나머지 81만명의 환자 개인정보는 유출 정황을 확인했다”며 “아직까지 개인정보 유출 이후 2차 피해가 확인되거나 신고가 접수된 경우는 없다”고 설명했다.

북한 해킹조직은 조직검사와 세포 검사 등 병리 검사 사진과 진단명 등이 저장됐던 서버를 주 타깃으로 삼은 것으로 조사됐다. 유출 정황이 확인된 환자 81만명의 정보도 모두 병리 검사 결과가 저장됐던 서버에서 새 나갔다.

경찰청 관계자는 “피의자 검거 이후 진술을 받아야 해킹 목적을 확인할 수 있지만, 이번 사건은 검거가 불가능하다”면서도 “다만 주요 인사 등에 대한 진료 정보를 빼내기 위한 것이 목적으로 서울대병원을 해킹한 것으로 보인다”고 말했다. 다만 주요 인사의 진료 정보가 실제로 유출됐는지에 대해선 “확인해주기 어렵다”고 했다.